Come le immagini possono infettare il tuo computer attraverso i social media

Se sei moderatamente esperto di tecnologia, ogni volta che senti parlare di un sistema infettato, normalmente pensi a un pezzo di codice eseguibile che ha in qualche modo dirottato le sue funzioni più sicure. Le infezioni possono diffondersi in vari modi, ma una cosa rimane certa: il legame tra virus e codice eseguibile è così forte che non crediamo necessariamente di doverci proteggere da tipi di file come JPEG, immagini PNG e file MP3. O no? Contrariamente all’affermazione precedente, i primi due tipi di file che ho menzionato sono stati utilizzati per infettare computer attraverso i sistemi di messaggistica sui social media di Facebook e LinkedIn, come riportato da Jon Fingas per Engadget il 27 novembre 2016.

Cosa sta succedendo?

Il 18 febbraio 2016 Symantec ha trovato un pezzo di software piuttosto strano che si è rivelato essere una nuova variante di ransomware che si diffondeva attraverso il web (se non sai cos’è il ransomware, fai riferimento a questo). Questo particolare ceppo – noto come Locky – si è diffuso attraverso email di spam con allegati a un ritmo di circa dieci a ventimila vittime a settimana tra gennaio e marzo 2016. Non è necessariamente scioccante vedere i virus diffondersi in questo modo. I messaggi email con allegati ZIP sono stati la strategia di inoculazione preferita sin dai primi anni ‘90.

Poi, è successo qualcos’altro.

Verso la fine di novembre 2016, gli utenti di Facebook e LinkedIn hanno iniziato a vedere messaggi inviati con allegati di immagini. Sembrano piuttosto sicuri, ma quando vengono aperti rivelano un nuovo ceppo di Locky che crittografa i file del sistema e li sblocca solo se la vittima paga un riscatto che varia tra i 200 e i 400 dollari. La parte più scioccante di questo è che il virus si è diffuso attraverso le immagini piuttosto che attraverso codice eseguito convenzionalmente.

Non tutto è come sembra

Sebbene le immagini siano certamente utilizzate per infettare le persone sui social media, non è esattamente come sembra! Ho dato un’occhiata più approfondita al meccanismo di Locky e ai suoi modi scivolosi, e sembra che ci sia di più nella storia rispetto a un gruppo di JPEG che sono “pronti a colpirti.”

Innanzitutto, ciò che stai distribuendo quando invii il malware a qualcuno è l’impressione che stai dando a qualcuno un’immagine sui social media. C’è un difetto nel codice di Facebook e LinkedIn che consente a determinati file di essere trasferiti con l’icona dell’immagine, portando il destinatario a credere di aver ricevuto una foto innocua del gatto domestico di qualcuno o del nuovo giardino. Ciò che il destinatario scarica effettivamente è un file HTA, un programma eseguibile molto vecchio per Windows che esiste dal 1999 (un altro elemento da aggiungere alla lista dei motivi per cui il software degli anni ‘90 era completamente folle).

Fondamentalmente, le applicazioni HTA sono come gli EXE tranne per il fatto che sono sovrapposte a “mshta.exe” e sono state utilizzate dagli amministratori per apportare rapidamente modifiche ai sistemi. Poiché hanno la piena “fiducia” del sistema su cui vengono eseguite, sono libere di causare qualsiasi tipo di caos che il loro codice consente.

Come prevenire l’infezione

Una volta che sei infettato da Locky, non c’è molto che tu possa fare se non sperare di trovare un’applicazione anti-malware che possa rimuoverlo mentre sei avviato in Modalità Sicura. Ma prevenire l’infezione in primo luogo è piuttosto facile. Quando ricevi un file immagine su Facebook, e non ha un’anteprima come l’immagine qui sotto, allora probabilmente ti verrà chiesto di scaricarlo.

Una volta scaricato il file, controlla la sua estensione. Se non dice JPG, JPEG, PNG, o qualsiasi cosa che sembri un’immagine, probabilmente è un virus. Abbiamo visto Locky in formato HTA, ma potrebbe anche apparire in altri tipi di codici eseguibili (.COM, .PIF, .SCR, .CPL, .JAR, .APPLICATION, .EXE, .MSI, ecc.). Fai attenzione alle estensioni dei file e stai attento a qualsiasi cosa che non riconosci. Un modo sicuro per controllare se il file ricevuto è un’immagine è vedere se Esplora Risorse di Windows ti dà un’anteprima quando cambi lo stile di visualizzazione in “Icone grandi.”

Hai altri consigli utili da condividere? Dicci nei commenti!